Se sua empresa atende clientes no Brasil e na União Europeia, você está sujeito a dois dos marcos regulatórios de proteção de dados mais relevantes do mundo: a Lei Geral de Proteção de Dados Pessoais (LGPD, Lei n. 13.709/2018) e o Regulamento Geral sobre a Proteção de Dados (GDPR/RGPD) europeu. Embora ambas as leis tenham objetivos semelhantes e a LGPD tenha sido influenciada pelo GDPR, existem diferenças significativas que afetam diretamente a estratégia de conformidade da sua empresa. Este guia compara os dois marcos para ajudá-lo a construir uma abordagem integrada.
Origens e fundamentos
GDPR. Adotado em 2016 e em vigor desde maio de 2018, o GDPR é um regulamento diretamente aplicável em todos os 27 Estados-membros da União Europeia. Ele parte do princípio de que a proteção de dados é um direito fundamental (Artigo 8 da Carta dos Direitos Fundamentais da UE). É prescritivo, detalhado e acompanhado de um vasto corpo de jurisprudência e orientações das autoridades nacionais.
LGPD. Aprovada em 2018 e em vigor desde setembro de 2020, a LGPD foi amplamente inspirada no GDPR, mas adaptada ao contexto jurídico brasileiro. Ela incorpora elementos do Código de Defesa do Consumidor, do Marco Civil da Internet e da Constituição Federal (Artigo 5, incisos X e XII). A ANPD, criada em 2020, ainda está em processo de construção do arcabouço regulatório completo.
Âmbito de aplicação
Quem é protegido
GDPR : Qualquer pessoa natural (titular dos dados) que se encontre na União Europeia, independentemente de sua nacionalidade ou residência.
LGPD : Qualquer pessoa natural cujos dados pessoais sejam tratados em operações realizadas no território brasileiro, que visem a oferta de bens ou serviços a indivíduos no Brasil, ou que envolvam dados coletados no Brasil (Artigo 3).
Quais empresas devem se conformar
GDPR : Qualquer organização, em qualquer lugar do mundo, que trate dados pessoais de indivíduos na UE, desde que ofereça bens ou serviços a residentes da UE ou monitore seu comportamento (Artigo 3). Sem limiar de faturamento ou volume de dados.
LGPD : Qualquer organização, em qualquer lugar do mundo, que realize operações de tratamento de dados nas condições do Artigo 3. Igualmente sem limiar de faturamento.
Ambas as leis têm alcance extraterritorial, o que significa que empresas fora do Brasil ou da UE podem ser obrigadas a cumpri-las. Para compreender em detalhe as obrigações da LGPD, consulte nosso guia completo da LGPD.
Bases legais para tratamento
Esta é uma das áreas onde as duas leis mais se assemelham, mas com diferenças importantes.
GDPR : Seis bases legais (Artigo 6) — consentimento, execução de contrato, obrigação legal, interesses vitais, tarefa de interesse público e interesses legítimos.
LGPD : Dez bases legais (Artigo 7) — as seis do GDPR mais proteção do crédito, proteção da saúde, realização de estudos por órgãos de pesquisa e exercício regular de direitos.
| Base legal | GDPR | LGPD |
|---|---|---|
| Consentimento | Artigo 6(1)(a) | Artigo 7, I |
| Obrigação legal | Artigo 6(1)(c) | Artigo 7, II |
| Execução de contrato | Artigo 6(1)(b) | Artigo 7, V |
| Interesse legítimo | Artigo 6(1)(f) | Artigo 7, IX |
| Proteção da vida | Artigo 6(1)(d) | Artigo 7, VII |
| Tarefa pública | Artigo 6(1)(e) | Artigo 7, III |
| Proteção do crédito | Não previsto | Artigo 7, X |
| Proteção da saúde | Incluído em interesses vitais | Artigo 7, VIII (base autônoma) |
| Pesquisa | Incluído em tarefa pública | Artigo 7, IV (base autônoma) |
| Exercício de direitos | Incluído em obrigação legal | Artigo 7, VI (base autônoma) |
A LGPD é mais granular nas bases legais, criando bases autônomas para situações que o GDPR trata como subcategorias de bases mais amplas.
Consentimento
GDPR : Deve ser livre, específico, informado e inequívoco (Artigo 7). O ônus da prova recai sobre o controlador. O consentimento para dados sensíveis deve ser explícito (Artigo 9).
LGPD : Deve ser livre, informado e inequívoco, fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular (Artigo 8). Para dados sensíveis, o consentimento deve ser específico e em destaque (Artigo 11).
As diferenças práticas são sutis mas relevantes. O GDPR exige que o consentimento seja “específico” para cada finalidade, enquanto a LGPD exige que seja “para finalidades determinadas.” A LGPD também especifica que o consentimento dado por escrito deve constar de cláusula destacada das demais cláusulas contratuais.
Direitos dos titulares
Ambas as leis conferem um conjunto robusto de direitos, mas com diferenças notáveis:
| Direito | GDPR | LGPD |
|---|---|---|
| Acesso | Artigo 15 | Artigo 18, I e II |
| Retificação | Artigo 16 | Artigo 18, III |
| Apagamento | Artigo 17 (direito ao esquecimento) | Artigo 18, IV (anonimização, bloqueio ou eliminação) |
| Portabilidade | Artigo 20 | Artigo 18, V |
| Oposição | Artigo 21 | Artigo 18, IV (parcialmente) |
| Revisão de decisões automatizadas | Artigo 22 | Artigo 20 |
| Informação sobre compartilhamento | Implícito nos Artigos 13-14 | Artigo 18, VII (direito explícito) |
| Prazo de resposta | 1 mês (extensível a 3) | 15 dias para confirmação; prazo razoável para demais |
Uma diferença notável: a LGPD garante explicitamente o direito à informação sobre entidades com as quais os dados foram compartilhados (Artigo 18, VII), enquanto o GDPR trata isso como parte das obrigações de transparência. A LGPD também prevê o direito à revisão de decisões automatizadas (Artigo 20), mas sem a exigência de intervenção humana que o GDPR estabelece no Artigo 22.
Dados sensíveis
GDPR : Categorias especiais de dados (Artigo 9) — origem racial ou étnica, opiniões políticas, convicções religiosas, filiação sindical, dados genéticos, biométricos, de saúde, vida sexual ou orientação sexual. O tratamento é proibido, salvo exceções específicas.
LGPD : Dados sensíveis (Artigo 5, II) — origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização religiosa, filosófica ou política, dados de saúde, vida sexual, dados genéticos ou biométricos.
As categorias são similares, mas não idênticas. A LGPD inclui “convicção filosófica” e “filiação a organização filosófica ou política,” que não têm equivalente direto no GDPR. O GDPR inclui explicitamente “opiniões políticas,” enquanto a LGPD usa “opinião política.”
Transferências internacionais
GDPR : Transferências fora do EEE exigem decisão de adequação, cláusulas contratuais-padrão (CCPs), regras corporativas vinculantes (BCRs) ou outro mecanismo aprovado (Capítulo V). O processo é rígido e bem regulamentado.
LGPD : O Artigo 33 lista várias hipóteses para transferência internacional, incluindo países com nível adequado, cláusulas contratuais específicas, cláusulas-padrão, normas corporativas globais e consentimento específico. A ANPD ainda está regulamentando os mecanismos, e o arcabouço não está tão desenvolvido quanto o europeu.
Na prática, as empresas que já possuem CCPs do GDPR podem adaptá-las para a LGPD, mas devem aguardar a regulamentação final da ANPD para garantir conformidade plena.
Sanções e aplicação
| Aspecto | GDPR | LGPD |
|---|---|---|
| Multa máxima | 20 M EUR ou 4% do faturamento global | R$ 50 milhões ou 2% do faturamento no Brasil |
| Base de cálculo | Faturamento global | Faturamento no Brasil (não global) |
| Autoridade | Autoridades nacionais (CNPD em Portugal, CNIL em França, AEPD em Espanha…) | ANPD |
| Poder sancionatório direto | Sim | Sim |
| Sanções não pecuniárias | Proibição de tratamento | Bloqueio, eliminação, suspensão, proibição |
| Direito de ação privada | Sim (Artigo 82) | Sim (Código Civil + CDC) |
O GDPR tem sanções pecuniárias potencialmente muito maiores (base global vs base Brasil). Porém, a LGPD oferece sanções não pecuniárias severas — a suspensão ou proibição de atividades de tratamento pode ser mais devastadora para uma empresa do que uma multa financeira.
DPO / Encarregado
GDPR : Obrigatório para autoridades públicas, monitoramento sistemático em larga escala, ou tratamento de dados sensíveis em larga escala (Artigo 37).
LGPD : Obrigatório para todos os controladores (Artigo 41). A ANPD pode estabelecer dispensa para agentes de pequeno porte.
A LGPD é mais ampla nesta exigência: enquanto o GDPR limita a obrigatoriedade a situações específicas, a LGPD a impõe como regra geral.
Estratégia para empresas bi-jurisdicionais
1. Parta do GDPR. As exigências europeias são geralmente mais restritivas. Uma conformidade sólida com o GDPR cobre a maioria das obrigações da LGPD.
2. Acrescente os elementos específicos da LGPD. As quatro bases legais adicionais, o prazo de resposta de 15 dias para confirmação, o direito explícito à informação sobre compartilhamento, e as sanções não pecuniárias exigem atenção específica.
3. Adapte a base de cálculo das sanções. O GDPR calcula sobre o faturamento global; a LGPD sobre o faturamento no Brasil. Isso pode afetar sua análise de risco.
4. Acompanhe a ANPD. A autoridade brasileira ainda está construindo seu arcabouço regulatório. Regulamentações sobre transferências internacionais, relatórios de impacto e critérios de adequação estão em desenvolvimento.
5. Documente tudo. Registros de tratamento (GDPR Artigo 30), registros de incidentes (ambos), e registros de solicitações de titulares (ambos) são essenciais para demonstrar conformidade.
- Cada responsável pelo tratamento e, sendo caso disso, o seu representante conserva um registo de todas as atividades de tratamento sob a sua responsabilidade. Desse registo constam todas seguintes informações: […]
— RGPD, artigo 30
Para verificar a conformidade do seu site em segundos, utilize o nosso scanner de conformidade gratuito. Para aprofundar, consulte o nosso guia completo da LGPD e o nosso guia sobre a política de privacidade LGPD.
Conclusão
A LGPD e o GDPR compartilham origens e objetivos, mas diferem em detalhes que importam na prática. A LGPD tem mais bases legais, um escopo mais amplo para o DPO, e sanções não pecuniárias potencialmente mais severas. O GDPR tem sanções financeiras maiores, direitos dos titulares mais detalhados e um arcabouço regulatório mais maduro. Para empresas que operam nas duas jurisdições, a abordagem mais eficaz é construir sobre a conformidade com o GDPR e complementar com as especificidades da LGPD. A inação não é uma opção: os riscos regulatórios nos dois lados do Atlântico continuam a crescer.
